Conform Descopera: Microsoft avertizează asupra unei noi campanii de spionaj informatic, denumită CaptiveCrunch, care vizează utilizatorii prin intermediul rețelelor Wi-Fi din hoteluri, aeroporturi și centre de conferințe. Atacurile, atribuite grupării Storm-2945, considerată o ramură a serviciului de informații externe rusesc SVR, au început în luna mai 2026 și se extind pe mai multe continente. Specialiștii recomandă prudență maximă și evitarea pe cât posibil a acestor rețele publice.
Cum funcționează atacul
Campania CaptiveCrunch exploatează modul în care utilizatorii se conectează la rețelele Wi-Fi publice, utilizând paginile speciale de autentificare, cunoscute sub denumirea de „captive portal”. Atunci când un utilizator încearcă să se conecteze, hackerii manipulează traficul DNS și HTTP pentru a redirecționa victima către pagini web controlate de ei. În loc să afișeze termenii de utilizare sau o confirmare a conexiunii, paginile false solicită utilizatorilor să instaleze o aparentă actualizare esențială pentru sistemul de operare Windows, browser sau alte programe. Aceste notificări, apărute chiar în momentul conectării, par legitime și induc în eroare, determinând utilizatorul să creadă că hotelul impune instalarea pentru a permite accesul la internet.
Fișierul descărcat în realitate instalează un program de acces de la distanță, denumit CornFlake. Acest malware se ascunde în sistem, imitând procese legitime Windows și configurându-și multiple mecanisme de pornire automată. Microsoft a identificat diverse tipuri de ecrane false utilizate în aceste atacuri, printre care actualizări Windows, scanări Microsoft Defender, instalări de DirectX sau Visual C++, optimizări de disc sau chiar verificări de diagnosticare a rețelei. De asemenea, unii atacatori pretind că Google a detectat trafic neobișnuit și solicită utilizatorilor să își verifice identitatea prin introducerea unor comenzi în linia de comandă a sistemului Windows. Aceste solicitări de tip „copiază și rulează comanda” sunt semnale clare de alarmă și indică o tentativă de infectare.
Ce riscuri implică
Odată ce programul CornFlake este instalat pe dispozitiv, atacatorii obțin un control extins asupra acestuia. Ei pot înregistra tastatura, monitoriza clipboard-ul, captura ecranul, activa microfonul și camera video, și pot accesa, copia sau extrage documente, arhive, cod sursă, e-mailuri sau chiar chei de criptare. De asemenea, pot fura parolele salvate în browsere și informații de autentificare Wi-Fi. O altă componentă, ChocoShell, se specializează în furtul de parole, cookie-uri de sesiune, date de autentificare Wi-Fi și tokenuri de autentificare pentru conturi Microsoft 365. Furtul acestor elemente este deosebit de periculos, permițând hackerilor să acceseze conturile victimelor fără a mai fi nevoie de parolă.
Attacurile se extind și asupra dispozitivelor mobile Android. Utilizatorii sunt direcționați către descărcarea și instalarea unor fișiere APK sau sunt puși să participe la un proces aparent legitim de autentificare cu cod, în care aprobă, de fapt, o sesiune controlată de atacatori. În cazul conturilor profesionale, acest lucru poate duce la accesarea neautorizată a e-mailurilor din Microsoft 365, fișierelor din OneDrive și a altor date sensibile ale companiei.
Recomandări și măsuri de protecție
Microsoft recomandă ferm ca toate rețelele Wi-Fi din spații publice, precum hoteluri, aeroporturi sau centre de conferințe, să fie considerate nesigure. Cea mai sigură metodă de a accesa internetul în astfel de situații este utilizarea conexiunii mobile proprii, fie prin hotspot personal, cartelă eSIM sau un dispozitiv dedicat de internet mobil. Utilizatorii trebuie să fie extrem de precauți și să nu instaleze niciodată actualizări, certificate, programe de securitate sau instrumente de reparare a conexiunii care apar după accesarea unei rețele Wi-Fi publice. Actualizările oficiale pentru sistemul de operare și aplicații trebuie efectuate exclusiv din meniurile integrate ale acestora. De asemenea, este crucial să nu se utilizeze parola contului profesional pe paginile de conectare la hotel și să nu se introducă coduri de autentificare Microsoft primite în mod neașteptat. Companiilor li se recomandă să analizeze informațiile pe care angajații le furnizează la conectarea în rețelele de oaspeți, deoarece date precum numele companiei, funcția sau adresa profesională pot fi folosite de atacatori pentru a identifica ținte valoroase.
Microsoft a identificat că atacatorii folosesc pagini care imită serviciile Microsoft pentru a părea mai credibili.nn
Sursa: Descopera
